Que oculta unha VPN e que deixa á vista
Unha VPN oculta o teu destino á rede de acceso e cambia a túa IP de saída. Non oculta contas, cookies, o estado do dispositivo nin o que ve o operador.
A afirmación de que unha VPN te fai anónimo é o mito máis caro da privacidade do consumidor, porque é medio certo e a metade falsa é a que a xente usa. Un túnel si oculta o teu destino á rede na que estás e si oculta o teu enderezo de casa ao sitio que visitas. Non oculta quen es cando inicias sesión, que leva o teu navegador nin que pode observar o operador da VPN. A pregunta útil nunca é se unha VPN te oculta, senón oculto de que observador, para que tráfico.
O mito: un túnel é un interruptor de anonimato
Unha VPN cifra o camiño entre o teu dispositivo e o servidor VPN e despois reenvía as túas peticións desde o enderezo do servidor. Todo o que envías por ese camiño queda oculto ao operador de Wi-Fi e ao provedor que está diante do túnel. Ese é un cambio real, e por iso unha rede de hotel xa non ve que sitios abres. Non é anonimato, porque o túnel move o punto de observación en lugar de eliminalo.
A corrección importa na práctica. Se inicias sesión nunha conta de traballo a través dunha VPN, o sitio segue coñecendo a conta. Se o teu navegador garda unha cookie dunha rede publicitaria, o túnel non a borra. Se o cliente está configurado para excluír o tráfico local, ese tráfico nunca entra no túnel. Un candado pechado describe o túnel, non a suma do que revelaches.
Que perde e que conserva a rede de acceso
A rede de acceso, é dicir, o operador de Wi-Fi ou o provedor que leva a túa conexión ata o servidor VPN, segue vendo que existe unha conexión VPN. Pode rexistrar o enderezo do punto final, cando te conectaches, canto durou a sesión e aproximadamente cantos datos se moveron. A análise de tráfico desa forma pode ser informativa mesmo cando o contido é ilexible, e por iso cifrado e invisible son afirmacións distintas.
Tamén conserva todo o que lle dixeches directamente: un inicio de sesión nun portal cativo, un número de habitación, un pagamento polo acceso. E pode seguir vendo DNS se o cliente ou o resolutor do sistema envía consultas fóra do túnel. Esa fuga é habitual en configuracións de túnel dividido e en dispositivos que conservan o servidor DNS do router ou do operador. Comproba o resolutor en uso mentres estás conectado, non só o enderezo de saída.
| Observer | Still sees | Hidden by the tunnel |
|---|---|---|
| Access network | VPN endpoint, timing, volume, portal login | Destination hostnames and content |
| Website | Exit address, account, cookies, fingerprint | Your ordinary public address |
| VPN operator | Destination IP, often the hostname, DNS if used | HTTPS content, unless it intercepts TLS |
| Device | History, app data, permissions, screen | Nothing |
Que segue recoñecendo o sitio web
O sitio ve o enderezo de saída do servidor VPN, non o teu enderezo de casa, nas conexións que usan o túnel. Ese é todo o cambio a nivel de IP. O que ve máis alá do enderezo non cambiou: a conta coa que inicias sesión, as cookies que puxo antes, o navegador e o sistema operativo que presentas e o momento das túas peticións. Un sitio que xa te coñece non se volve un descoñecido porque cambiase o enderezo de orixe.
A localización merece a súa propia liña. Un sitio que lle pide a localización ao navegador recibe unha resposta controlada polo permiso do navegador, non pola VPN. O GPS do teléfono é independente do túnel. Por iso un enderezo que se xeolocaliza noutro país mentres o mapa segue mostrando a túa cidade non é un fallo da VPN; son dous canles de localización distintos que non coinciden.
A pegada dixital é a outra metade. O tamaño da pantalla, as fontes, a zona horaria, a lingua e a saída de canvas poden distinguir navegadores mesmo cando o enderezo se comparte con miles de outros usuarios. Unha VPN cambia unha entrada dese perfil e deixa o resto intacto.
Que pode ver o operador
O operador termina o teu túnel e reenvía a petición, así que se sitúa onde antes se situaba o teu provedor. Pode ver os enderezos de destino e, sen un hello de cliente cifrado, os nomes de host que solicitas; ve as consultas DNS se usas o seu resolutor; ve o volume e o momento. Non pode ler o contido dunha sesión HTTPS sen interceptala cun certificado no que o teu dispositivo confíe, e ese é un ataque distinto e máis ruidoso.
A visibilidade non é a retención. Un provedor pode ser tecnicamente capaz de observar unha petición e aínda así non rexistrala, ou rexistrar metadatos de conexión mentres descarta o contido. A pregunta honesta é que obrigan a gardar a política e a xurisdición do provedor, e unha insignia de sen rexistros non responde a iso. Trata o operador como unha parte á que elixes confiar os teus metadatos.
Que conserva o dispositivo, con túnel ou sen el
Nada do túnel chega ao interior do dispositivo. O historial de navegación queda no navegador, as descargas quedan no sistema de ficheiros e unha aplicación con acceso ao micrófono ou á pantalla conserva ese acceso. O software de monitorización da máquina pode ler datos antes de que se cifren ou despois de que se descifren, e por iso unha VPN non é unha defensa contra un punto final comprometido.
O mesmo vale para as contas. Unha cookie de sesión copiada do dispositivo funciona desde calquera enderezo, e un contrasinal reutilizado entre sitios vincula identidades que ningún túnel separa. Se a ameaza que te preocupa é alguén que ten o dispositivo na man, a VPN non a resolve.
Proba a cobertura que compraches de verdade
Proba as propiedades nas que confías en lugar da afirmación de marketing. Co túnel activo, comproba o enderezo público, o resolutor DNS e a ruta IPv6. Un túnel só IPv4 nunha rede de dobre pila pode deixar o tráfico IPv6 completamente fóra. A guía de EFF para escoller unha VPN formula a mesma pregunta como un modelo de ameaza e non como unha clasificación de produtos.
Despois proba o comportamento ante un fallo. Desconecta o túnel e confirma se o tráfico se detén ou volve ao camiño directo; iso depende do axuste do kill switch do cliente, non do nome do protocolo. Por último, enumera as aplicacións e os prefixos que o cliente exclúe. O túnel dividido é onde viven a maioría das sorpresas, porque a cobertura que compraches é a que o cliente está configurado para entregar.